IDS
侵入検知システム：Instrusion Detection System の事らしい。ホスト型IDSとネットワーク型IDSの２つがあるらしいが、今回のSnortはネットワーク型のIDSだ。
ホスト型のIDSは不正アクセスやファイル改ざんを検知する。という事で前回のTripwireもIDSの一種という事らしい。なるほろ。
ネットワーク型のIDSであるSnortはTCP・UDP・IPなどのプロトコル解析が可能。シグネチャというルールを設定して検知を行うらしい。シグネチャはルールヘッダとルールボディで構成される。
まずは使ってみよう。
全く使った事もないので、どんなものかも想像つかない。こんな時は触ってみるのが一番早い。なんとなく今回のSnortはわりときっちりやろうと思っている。きっちりやった所は試験にあまり出ないというジンクスがあるけれど・・・。
以下、インストールメモ
参考サイト
CentOSで自宅サーバー構築
バージョンも変わっているので、紆余曲折はありましたが何とかインストールは完了しました。
まずは公式サイトからSnortをダウンロード。
wget https://www.snort.org/downloads/snort/snort-2.9.7.0.tar.gzRPM作成に必要なものとか、何やら必要だったパッケージを下のとおり。
yum -y install libpcap-devel
yum --enablerepo=epel install libdnet libpcap
yum install libc.so.6
yum -y install libpcap.so.1
yum -y install mysql-bench php-pear参考サイトに習ってrpm化して入れます。
# rpmbuild -tb --clean --with mysql snort-2.9.7.0.tar.gzなんだかんだで上手くいきました。
daqは探してきてインストールした。
# rpm -ivh daq-2.0.2-1.centos6.x86_64.rpm
準備中... ########################################### [100%]
1:daq ########################################### [100%]
出来上がったrpmをインストールしました。
# rpm -ivh /root/rpmbuild/RPMS/x86_64/snort-2.9.7.0-1.x86_64.rpm
準備中... ########################################### [100%]
1:snort ########################################### [100%]おや、MySQLのrpmができてない
できたーと思ってたけれど良くみると参考サイトと同じ–with mysqlを付けたのにrpmが出来ていない様子。
specファイルを確認するとmysqlの記述がなくなったようだ。過去に遡って2.9.1.1でようやく見つけた。
# grep mysql snort-2.9.7.0/rpm/snort.spec# grep mysql snort-2.9.3.1/rpm/snort.spec# grep mysql snort-2.9.1.1/rpm/snort.spec
# --with mysql
# Default of no MySQL, but --with mysql will enable it
%define mysql 0
%{?_with_mysql:%define mysql 1}
%define mysql 1
%package mysql
%if %{mysql}参考サイト
ももーい鯖覚書
上記のサイトなどを見ると、snort-2.9.3からできなくなった模様。
書き出し先にデータベースを利用するのは他にも方法があるようなので、stableの最新2.9.7で進めることにします。
ま、動かしてみよう。
# snort
Running in packet dump mode
--== Initializing Snort ==--
Initializing Output Plugins!
pcap DAQ configured to passive.
Acquiring network traffic from "eth0".
Decoding Ethernet
--== Initialization Complete ==--
,,_ -*> Snort! <*-
o" )~ Version 2.9.7.0 GRE (Build 149)
'''' By Martin Roesch & The Snort Team: http://www.snort.org/contact#team
Copyright (C) 2014 Cisco and/or its affiliates. All rights reserved.
Copyright (C) 1998-2013 Sourcefire, Inc., et al.
Using libpcap version 1.4.0
Using PCRE version: 7.8 2008-09-05
Using ZLIB version: 1.2.3犬さんか豚さんか分からないけど、ロゴが出てTcpdumpのようにsshのパケットがざ～っと流れる。違うのは最後でCtrl+cで止めると色々と情報が表示されました。
===============================================================================
Run time for packet processing was 0.623684 seconds
Snort processed 249 packets.
Snort ran for 0 days 0 hours 0 minutes 0 seconds
Pkts/sec: 249
===============================================================================
Memory usage summary:
Total non-mmapped bytes (arena): 806912
Bytes in mapped regions (hblkhd): 12906496
Total allocated space (uordblks): 669568
Total free space (fordblks): 137344
Topmost releasable block (keepcost): 132128
===============================================================================
Packet I/O Totals:
Received: 249
Analyzed: 249 (100.000%)
Dropped: 0 ( 0.000%)
Filtered: 0 ( 0.000%)
Outstanding: 0 ( 0.000%)
Injected: 0
===============================================================================
Breakdown by protocol (includes rebuilt packets):
Eth: 249 (100.000%)
VLAN: 0 ( 0.000%)
IP4: 249 (100.000%)
Frag: 0 ( 0.000%)
ICMP: 0 ( 0.000%)
UDP: 2 ( 0.803%)
TCP: 246 ( 98.795%)
IP6: 0 ( 0.000%)
IP6 Ext: 0 ( 0.000%)
IP6 Opts: 0 ( 0.000%)
Frag6: 0 ( 0.000%)
ICMP6: 0 ( 0.000%)
UDP6: 0 ( 0.000%)
TCP6: 0 ( 0.000%)
Teredo: 0 ( 0.000%)
ICMP-IP: 0 ( 0.000%)
IP4/IP4: 0 ( 0.000%)
IP4/IP6: 0 ( 0.000%)
IP6/IP4: 0 ( 0.000%)
IP6/IP6: 0 ( 0.000%)
GRE: 0 ( 0.000%)
GRE Eth: 0 ( 0.000%)
GRE VLAN: 0 ( 0.000%)
GRE IP4: 0 ( 0.000%)
GRE IP6: 0 ( 0.000%)
GRE IP6 Ext: 0 ( 0.000%)
GRE PPTP: 0 ( 0.000%)
GRE ARP: 0 ( 0.000%)
GRE IPX: 0 ( 0.000%)
GRE Loop: 0 ( 0.000%)
MPLS: 0 ( 0.000%)
ARP: 0 ( 0.000%)
IPX: 0 ( 0.000%)
Eth Loop: 0 ( 0.000%)
Eth Disc: 0 ( 0.000%)
IP4 Disc: 1 ( 0.402%)
IP6 Disc: 0 ( 0.000%)
TCP Disc: 0 ( 0.000%)
UDP Disc: 0 ( 0.000%)
ICMP Disc: 0 ( 0.000%)
All Discard: 1 ( 0.402%)
Other: 0 ( 0.000%)
Bad Chk Sum: 190 ( 76.305%)
Bad TTL: 0 ( 0.000%)
S5 G 1: 0 ( 0.000%)
S5 G 2: 0 ( 0.000%)
Total: 249
===============================================================================
Snort exitingうん、まぁこんな感じでいいかな。検知システムはまだ先でやるとして、一応コマンドでもオプションは幾つかあるようです。載せておきます。
-a ARPパケットを表示
-b tcpdumpフォーマットでパケットを記録
-c 設定ファイルを指定
-d アプリケーションレイヤーのデータをダンプ
-e レイヤー２のパケットヘッダをダンプ
-l ログディレクトリを指定
-L バイナリ出力するファイルを指定
-T Snortのテストモード
-u 初期化後にSnortを指定したユーザーで実行
ルールをDLしてみる
登録しなくても利用できるっぽいルールがあったので適用してみます。
# wget https://www.snort.org/downloads/community/community-rules.tar.gz
# tar zxvf community-rules.tar.gz
# cp -r community.rules/* /etc/snort/rules
# cat /etc/snort/rules/community.rules設定に進む
結構大きい設定ファイルだ・・・
# wc -l /etc/snort/snort.conf
688 /etc/snort/snort.conf# ls /etc/snort/
classification.config reference.config snort.conf unicode.map
gen-msg.map rules/ threshold.conf長いなぁと言っても全部修正が必要という訳ではないでしょうし、Step1から順番に見ていきましょう。
confファイルは参考サイトに習いながら進めます。
# vi /etc/snort/snort.conf# Setup the network addresses you are protecting
-ipvar HOME_NET any
+#ipvar HOME_NET any
+ipvar HOME_NET 192.168.0.0/24# Set up the external network addresses. Leave as "any" in most situations
-ipvar EXTERNAL_NET any
+#ipvar EXTERNAL_NET any
+ipvar EXTERNAL_NET !$HOME_NET# どんだけー。
# List of ports you run web servers on
#portvar HTTP_PORTS [80,81,311,383,591,593,901,1220,1414,1741,1830,2301,2381,2809,3037,3128,3702 ,4343,4848,5250,6988,7000,7001,7144,7145,7510,7777,7779,8000,8008,8014,8028,8080,8085,8088,8090, 8118,8123,8180,8181,8243,8280,8300,8800,8888,8899,9000,9060,9080,9090,9091,9443,9999,11371,34443 ,34444,41080,50002,55555]
portvar HTTP_PORTS 80# Linux版を落としたはずだけど、Windowsらしい。
286 #preprocessor stream5_tcp: policy windows, detect_anomalies, require_3whs 180, \
287 preprocessor stream5_tcp: policy linux, detect_anomalies, require_3whs 180, \コードページ1252：ラテン から コートページ932：Shift-jisに変更と思われ。
301 # preprocessor http_inspect: global iis_unicode_map unicode.map 1252 compress_depth 65535 decomp ress_depth 65535
302 preprocessor http_inspect: global iis_unicode_map unicode.map 932 compress_depth 65535 decompres s_depth 65535続いてsysconfig直下
コメントアウトしてDBへ出力するようにする。
#ALERTMODE=fastではではBarnyard2とやらを入れてみようか
# git clone https://github.com/firnsy/barnyard2.git
Initialized empty Git repository in /usr/local/src/barnyard2/.git/
remote: Counting objects: 1071, done.
remote: Total 1071 (delta 0), reused 0 (delta 0)
Receiving objects: 100% (1071/1071), 1.02 MiB | 271 KiB/s, done.
Resolving deltas: 100% (690/690), done.
# cd barnyard2
# ./autogen.sh
You can now run "./configure" and then "make".デフォルトのはず
# mysql -V
mysql Ver 14.14 Distrib 5.1.73, for redhat-linux-gnu (x86_64) using readline 5.1
# whereis mysql
mysql: /usr/bin/mysql /usr/lib64/mysql /usr/include/mysql /usr/share/mysql /usr/share/man/man1/mysql.1.gzなので
./configure --with-mysql --with-mysql-libraries=/usr/lib64/mysql/make && make install設定ファイルをコピーします。
# cp etc/barnyard2.conf /etc/snort変更するところは以下
# vi /etc/snort/barnyard2.conf348 # output database: log, mysql, user=root password=test dbname=db host=localhost
349 output database: log, mysql, user=snort password=snort dbname=snort_log host=localhost起動スクリプトと設定ファイルをもういっちょ。
cd /usr/local/src/barnyard2/rpm# install -m0755 barnyard2 /etc/rc.d/init.d/barnyrad2
# ls -l /etc/rc.d/init.d/barnyrad2
-rwxr-xr-x. 1 root root 1748 10月 31 01:01 2014 /etc/rc.d/init.d/barnyrad2
# install -m0644 barnyard2.config /etc/sysconfig/barnyrad2
# ls -l /etc/sysconfig/barnyrad2
-rw-r--r--. 1 root root 248 10月 31 01:01 2014 /etc/sysconfig/barnyrad2データベースはこの方法で。
# locate barnyard2 | grep create_mysql
/usr/local/src/barnyard2/schemas/create_mysqlmysql> grant INSERT,SELECT on snort_log.* to snort@localhost;
Query OK, 0 rows affected (0.01 sec)# mysql -u root snort_log < create_mysqlテーブルが出来たかチェック。
mysql> show tables;
+---------------------+
| Tables_in_snort_log |
+---------------------+
| data |
| detail |
| encoding |
| event |
| icmphdr |
| iphdr |
| opt |
| reference |
| reference_system |
| schema |
| sensor |
| sig_class |
| sig_reference |
| signature |
| tcphdr |
| udphdr |
+---------------------+
16 rows in set (0.00 sec)では動かしてみます。
失敗(*´ω｀)
Oct 31 01:06:39 "01 snort[10324]: FATAL ERROR: /etc/snort/snort.conf(256) Could not stat dynamic module path "/usr/local/lib/snort_dynamicrules": No such file or directory.#012# mkdir -p /usr/local/lib/snort_dynamicrules
# chown -R snort:snort /usr/local/lib/snort_dynamicrules
# chmod -R 700 /usr/local/lib/snort_dynamicrulesでは動かしてみます。
失敗(*´ω｀)
Oct 31 01:10:44 "01 snort[10782]: FATAL ERROR: /etc/snort//etc/snort/rules/local.rules(0) Unable to open rules file "/etc/snort//etc/snort/rules/local.rules": No such file or directory.#012# cp -p /etc/snort/rules/community.rules /etc/snort/rules/local.rulesでは動かしｔmiahfdal
失敗(*´ω｀)
Oct 31 01:15:01 "01 snort[11205]: FATAL ERROR: /etc/snort//etc/snort/rules/app-detect.rules(0) Unable to open rules file "/etc/snort//etc/snort/rules/app-detect.rules": No such file or directory.#012ギギギ。localrulesをすべてコメントアウトしました。
その他、編集箇所
# vi /etc/sysconfig/snort
# LOGDIR=/var/log/snort# vi /etc/snort/barnyard2.conf
54 #config logdir: /tmp
55 config logdir: /var/log/snort_log
71 #config hostname: thor
72 #config interface: eth0
73 config hostname: localhost
74 config interface: eth0# mkdir /var/log/snort_log
# chmod 666 /var/log/snort_log# chmod 666 /var/log/snort_log
# touch /var/log/snort/snort_log.waldoよく見ると参考サイトにもこの辺のことは書いてありました。
マニュアルは良く読もうな(´・ω・`)
# touch /etc/snort/rules/white_list.rules
# touch /etc/snort/rules/brack_list.rules515 #whitelist $WHITE_LIST_PATH/white_list.rules,
516 #blacklist $BLACK_LIST_PATH/black_list.rules
517 whitelist /etc/snort/rules/white_list.rules, \
518 blacklist /etc/snort/rules//black_list.rulesDBを作り直して終わりました。
# mysql -D snort -u root < /usr/local/src/barnyard2/schemas/create_mysql# ./barnyard2 -c /etc/snort/barnyard2.conf -d /var/log/snort -f merged.log -w /var/log/snort/barnyard2.waldo
Running in Continuous mode--== Initializing Barnyard2 ==--
Initializing Input Plugins!
Initializing Output Plugins!
Parsing config file "/etc/snort/barnyard2.conf"+[ Signature Suppress list ]+
----------------------------
+[No entry in Signature Suppress List]+
----------------------------
+[ Signature Suppress list ]+Barnyard2 spooler: Event cache size set to [2048]
Log directory = /var/log/barnyard2
INFO database: Defaulting Reconnect/Transaction Error limit to 10
INFO database: Defaulting Reconnect sleep time to 5 second
[ClassificationPullDataStore()]: No Classification found in database ...
[SignaturePullDataStore()]: No signature found in database ...--== Initialization Complete ==--
______ -*> Barnyard2 <*-
/ ,,_ \ Version 2.1.13 (Build 327)
|o" )~| By Ian Firns (SecurixLive): http://www.securixlive.com/
+ '''' + (C) Copyright 2008-2013 Ian Firns <firnsy@securixlive.com>
WARNING: Ignoring corrupt/truncated waldofile '/var/log/snort/barnyard2.waldo'
Waiting for new spool file動いた～と思ったら別の意味で動かなくなる・・・
スクリプトでデーモンでの起動ができないらしい。
# service barnyard2 start
Snort Output Processor (barnyard2) を起動中: /bin/bash: barnyard2: コマンドが見つかりません
[失敗]
# whereis barnyard2
barnyard2: /usr/local/bin/barnyard2 /usr/local/etc/barnyard2.conf
# vi /etc/init.d/barnyard2起動スクリプトをいじってもうまくいかない・・・
いじってたらエラーの吐き方もおかしくなってしまったので治しようがなくなっちった。
もう1回！ Barnyard2とやらを入れてみようか
結論を言うと、最後は起動スクリプトを修正して上手くいったのでした。
(*´ω｀)
参考サイト
The Hacker Chronicles
Snort, Barnyard2, Snorby and PulledPork Install on CentOS 6.5
# mkdir cd /usr/local/src/snort
# cd /usr/local/src/snort
# git clone https://github.com/firnsy/barnyard2.git barnyard2
Initialized empty Git repository in /usr/local/src/snort/barnyard2/.git/
remote: Counting objects: 1071, done.
remote: Total 1071 (delta 0), reused 0 (delta 0)
Receiving objects: 100% (1071/1071), 1.02 MiB | 389 KiB/s, done.
Resolving deltas: 100% (690/690), done.
# cd barnyard2./autogen.sh
# ./configure --with-mysql --with-mysql-libraries=/usr/lib64/mysql
make && make install
# cp rpm/barnyard2 /etc/init.d/
cp: `/etc/init.d/barnyard2' を上書きしてもよろしいですか(yes/no)? yes
#
# chmod +x /etc/init.d/barnyard2
# cp rpm/barnyard2.config /etc/sysconfig/barnyard2
cp: `/etc/sysconfig/barnyard2' を上書きしてもよろしいですか(yes/no)?
# cp rpm/barnyard2.config /etc/sysconfig/barnyard2
cp: `/etc/sysconfig/barnyard2' を上書きしてもよろしいですか(yes/no)? yes
#ちょと端折ってますが、ほぼほぼ参考サイトの通りで、他にさっき書いたとおり、snortのパスとbarnyard2の起動スクリプトのオプションを少しいじりますた。
んで、やっと通ったようです。やれやれだよ。
#BARNYARD_OPTS="-D -c $CONF -d $SNORTDIR/${INT} -w $WALDO_FILE -L $SNORTDIR/${INT} -a $ARCHIVEDIR -f $LOG_FILE -X $PIDFILE $EXTRA_ARGS"
BARNYARD_OPTS="-D -c /etc/snort/barnyard2.conf -d /var/log/snort -f merged.log -w /var/log/snort/barnyard2.waldo -l $SNORTDIR/${INT} -a $ARCHIVEDIR -f $LOG_FILE -X $PIDFILE $EXTRA_ARGS"
daemon $prog $BARNYARD_OPTSsnort を起動中: Spawning daemon child...
My daemon child 7710 lives...
Daemon parent exiting (0)
[ OK ]# service barnyard2 start
Snort Output Processor (barnyard2) を起動中: [ OK ]テストで動かしてたICMPのログが蓄積されていたので問題ないようだ。
ではcommunity.rulesを登録してリスタートしよう。
# vi /etc/snort/snort.conf
include $RULE_PATH/community.rules
# service barnyard2 restart
Snort Output Processor (barnyard2) を停止中: [ OK ]
Snort Output Processor (barnyard2) を起動中: [ OK ]
# service snortd restart
snort を停止中: [ OK ]
snort を起動中: Spawning daemon child...
My daemon child 9381 lives...
Daemon parent exiting (0)
[ OK ]ちゃんと動いているようです。
** ORIGINAL DATAGRAM DUMP:
117.41.229.139:7971 -> 133.242.178.136:9200
TCP TTL:110 TOS:0x0 ID:256 IpLen:20 DgmLen:40
Seq: 0x1E230000
(12 more bytes of original packet)
** END OF DUMPMyIsamでできていた(´・ω・`)
そういえば、テーブルの作成は付属のスクリプトだったなぁ。
mysql> show table status;
+------------------+--------+---------+------------+------+----------------+-------------+------------------+--------------+-----------+----------------+---------------------+---------------------+------------+-----------------+----------+----------------+---------+
| Name | Engine | Version | Row_format | Rows | Avg_row_length | Data_length | Max_data_length | Index_length | Data_free | Auto_increment | Create_time | Update_time | Check_time | Collation | Checksum | Create_options | Comment |
+------------------+--------+---------+------------+------+----------------+-------------+------------------+--------------+-----------+----------------+---------------------+---------------------+------------+-----------------+----------+----------------+---------+
| data | MyISAM | 10 | Dynamic | 0 | 0 | 0 | 281474976710655 | 1024 | 0 | NULL | 2014-10-31 02:45:48 | 2014-10-31 02:45:48 | NULL | utf8_general_ci | NULL | | |
| detail | MyISAM | 10 | Dynamic | 2 | 20 | 40 | 281474976710655 | 2048 | 0 | NULL | 2014-10-31 02:45:48 | 2014-10-31 02:45:48 | NULL | utf8_general_ci | NULL | | |
| encodingデフォルトではMyIsamなのか。まぁ、いいか。
コメントを残す